iOS IKEv2'den strongSwan'a: hiçbir teklif seçilmedi, listeyi düzeltin

iPhone tüneli ayağa kaldırır, ağ geçidi hiçbir şeyle yanıt vermez ve telefon genel bir hata gösterir. strongSwan günlüğü daha belirgindir: no proposal chosen. Bu mesaj, kabul edilebilir şifre paketlerinin iki listesinin hiç örtüşmediği, dolayısıyla değişimin kimlik doğrulama başlamadan bittiği anlamına gelir. Bu bir eşleştirme sorunudur ve çözüm listeleri kesiştirmektir.

Ağ geçidinin politikasını nerede bildirdiği

strongSwan politikasını yapılandırmaya yazar ve sondaki ünlem işareti bu politikanın nasıl okunacağını belirler. İşaretle liste kapsayıcıdır: yalnızca o girdiler kabul edilir, başka hiçbir şey kabul edilmez. İşaretsiz aynı satır bir tercih sırasıdır ve arka plan programı amaçlamadığınız bir şeyi seçebilir. Herhangi bir şeyi çevirmeden önce hangi biçimin kurulu olduğunu sorun, çünkü ikisi aynı istemciye karşı farklı davranır. Tam satırı işaret dahil kaydedin ve ona göre test edin.

Daha geniş bir liste sunan bir istemci yine de sabitlenmiş bir ağ geçidine bağlanabilir, yeter ki iki tarafta da bir bileşim bulunsun. Olamayacak şey, sabitlenmiş kümenin dışında müzakere yapılmasıdır.

Bu yüzden başka bir VPN uygulamasından kopyalanan profil sizinki çalışmazken çalışabilir: o uygulama farklı bir liste gönderiyordu.

Adlar eşleşmeli, iyileşmemeli

strongSwan'daki değerleri iOS'a taşıyanları iki çeviri yanıltır. Bir IKE teklifinde SHA1 olarak yazılan bütünlük algoritması kısaltılmış biçiminde yol alır ve iOS bunu .SHA96 olarak adlandırır. modp1024 olarak yazılan Diffie-Hellman grubu grup 2'dir ve iOS bunu .group2 olarak adlandırır. SHA-256 veya grup 14 ile değiştirmek, yalnızca eski çifti kabul eden bir ağ geçidiyle müzakere etmez. İstemci daha güçlü olanı değil, aynı algoritmayı tanımlamalıdır.

Bu değerleri NEVPNProtocolIKEv2 içinde açıkça ayarlayın. Varsayılanlar değiştirdiğiniz profilden daha geniş veya daha dar olabilir ve fark yalnızca el sıkışma başarısız olduğunda ortaya çıkar.

Alt teklif daha sonra ve daha sessiz başarısız olur

Yalnızca IKE değil, alt güvenlik ilişkisini de yapılandırın. Yalnızca IKE parametreleri eşleşirse tünel kimlik doğrular ve sonra trafik taşımaz; bu, reddetmeden çok daha sessiz bir arızadır. Altın şifrelemesini, bütünlüğünü, grubunu ve ömrünü aynı adımda ayarlayın. İstemci ömrünü ağ geçidinin değerinde veya altında tutun, çünkü daha uzununda ısrar etmek başka bir nedenden aynı no proposal chosen iletisini üretir. Oradaki uyumsuzluk günlükteki IKE uyumsuzluğu ile aynı görünür.

Yapılandırmadayken profilin sertifikalarla mı yoksa paylaşılan bir sırla mı kimlik doğruladığını kontrol edin. Teklif reddi ile kimlik doğrulama reddi farklı satırlarda görünür ve yanlış olanı düzeltmek bir güne mal olur. Her değişiklikten sonra yeni bir bağlantıyla test edin, her seferinde tek değişken, çünkü önbelleğe alınmış durum hangi parametrenin kaydığını gizler.

Eski paketi yalnızca gerektiği sürece bırakın

SHA-1'i 1024 bitlik bir grupla sabitlemek bir köprüdür, varış noktası değil. İkisi de kullanımdan kaldırılmıştır ve daha yeni istemciler onları tamamen reddedebilir; bu da profilin sizin tarafınızda hiçbir değişiklik olmadan sonraki cihazda başarısız olacağı anlamına gelir. Sabitlemeyi geçici olarak görün ve bunu kayda yazın.

strongSwan sizinse modern bir teklif ekleyin ve eski girdi eski cihazlar için kalırken iki uç yukarı doğru müzakere etsin. Her bağlantının gerçekte hangi paketi kullandığını görmek için arka plan programının durum çıktısını okuyun. Modern çift onaylandığında istemci tarafındaki sabitlemeyi kaldırın. Tünelin açılması yeterli kanıt değildir, çünkü kullanımdan kaldırmaya çalıştığınız pakette de açılabilir. strongSwan'ın IKEv2 belgeleri teklif söz dizimini ve strict işaretini açıklar.